Hoje vamos falar de um vilão clássico no mundo da segurança da informação: Git Exposed. A exposição do diretório Git é uma falha que, embora pareça simples, pode colocar em risco seu projeto e suas credenciais. Infelizmente, esse erro ainda faz vítimas como se fosse um chefão final mal programado.
Você já ouviu aquele ditado “o que os olhos não veem, o coração não sente”? Pois é… no mundo da segurança, o que não deveria ser visto pode ser justamente o que mais prejudica.
👨💻 “Mas isso é real mesmo?”
Sim, definitivamente. O diretório Git, que deveria estar bem guardado no ambiente de desenvolvimento, às vezes acaba indo parar direto em produção — com as portas escancaradas e um letreiro de neon piscando “entre e leia tudo!”.
Para entender o perigo, o diretório .git guarda o coração do seu repositório: todo o histórico de commits, logs detalhados, dados de configuração e — pasme — até aquela API key que você esqueceu de esconder como deveria 😅.
💥 E se a listagem de diretórios estiver habilitada?
Nesse caso, a situação piora ainda mais. Qualquer pessoa pode navegar pelos arquivos diretamente pelo navegador ou até mesmo baixar a pasta .git completa — como se fosse um .zip de presente do Papai Noel Hacker.
🎯 E o que dá pra fazer com isso?
Depois de baixar o diretório .git, o atacante pode restaurar o repositório localmente e explorar tudo: código-fonte, endpoints ocultos, credenciais esquecidas, versões antigas cheias de brechas… É um verdadeiro parque de diversões pra quem curte quebrar sistemas.
🔐 Como se proteger do Git Exposed
Se você chegou até aqui e está abrindo o terminal pra ver se existe exposição do seu diretório git, parabéns! Você já está melhor do que muita empresa grande por aí.
Aqui vão as dicas de mitigação para evitar a exposição do diretório Git:
🔒 1. Bloqueie o acesso via servidor web:
Apache:
<DirectoryMatch "^/.*/\.git/">
Require all denied
</DirectoryMatch>
Nginx:
location ~ /\.git {
deny all;
}🧹 2. Remova o .git da produção
Se o repositório foi usado pra subir o projeto em produção, apaga depois. Ele só serve mesmo no ambiente de desenvolvimento.
🤖 3. Automatize com CI/CD
Configure sua pipeline pra evitar que a .git vá parar no servidor sem querer. Ferramentas como GitHub Actions, GitLab CI e outras podem te ajudar nisso.
⚔️ Conclusão
Expor a pasta .git é tipo dar a chave da sua casa pra internet e torcer pra ninguém entrar. Com poucos passos, você pode evitar esse tipo de dor de cabeça e garantir que seu projeto não vire um case de “como NÃO fazer DevSecOps”.
Curtiu o conteúdo? Compartilha com aquele colega que ainda sobe a .git na produção achando que tá tudo certo. Spoiler: não tá! 😅
Aproveita e dá uma olhada em outros posts de segurança, tem muita dica boa pra proteger seu projeto.
Ah, e se quiser trocar ideia sobre tecnologia, me segue lá no LinkedIn também!